Yapay Zekâ Hizmet Sözleşmesinde Olması Gereken 10 Madde: Veri, SLA ve Çıkış

Bir yapay zekâ hizmet sözleşmesinde en az on madde bulunmalıdır: veri ve çıktı sahipliği, eğitimde kullanım yasağı, saklama süresi ve veri konumu, KVKK rolleri, yurt dışı aktarım, model değişikliği bildirimi, erişilebilirlik SLA'sı, doğruluk ve kabul kriterleri, fikri mülkiyet ile sorumluluk tavanı, güvenlik ve çıkış. Her biri somut bir riske karşılık gelir: Stanford Law CodeX'te yayımlanan ve TermScout verisine dayanan analize göre incelenen yapay zekâ sözleşmelerinin %92'si, hizmet için gerekenden geniş veri kullanım hakkı talep ediyor; SaaS sözleşmelerinde bu oran %63 (2025).

Türk işletmelerinin çekincesi de somut. TÜİK'in 2025 yapay zekâ istatistiklerine göre (ANKA aktarımı), yapay zekâ kullanmayı düşünüp henüz kullanmayan girişimlerin %62,4'ü "hukuki belirsizlik"i engel olarak gösteriyor. Aynı veride yapay zekâ kullanan girişimlerin oranı 2021'deki %2,7'den 2025'te %7,5'e çıkmış. Açık yazılmış bir sözleşme, bu belirsizliği azaltmanın en doğrudan aracıdır.

Hangi firmanın seçileceğini yapay zekâ firması seçme kriterleri ve yapay zekâ danışmanlık seçim rehberi yazılarında ele aldık. Bu rehber bir sonraki adıma, imzaya odaklanıyor. Sağlayıcı şartlarına ilişkin bilgiler Eylül 2026 itibarıyla açılan birincil belgelere dayanıyor ve değişebilir. Yazı hukuki görüş değildir: maddeleri bir müzakere kontrol listesi olarak kullanın, son metni hukukçunuzla birlikte yazın.

Yapay zekâ hizmet sözleşmesi sıradan bir yazılım sözleşmesinden neden farklıdır?

Yapay zekâ hizmet sözleşmesi, klasik yazılım lisansından üç noktada ayrılır: verinizin model eğitiminde kullanılıp kullanılamayacağı, altta çalışan modelin sizden habersiz değişebilmesi ve çıktının doğruluğunun garanti edilmemesi. Standart SaaS şablonları bu üç riski karşılamaz; her biri sözleşmede ayrı bir madde gerektirir.

TermScout örneklemi (kaynak yalnızca binlerce BT hizmet sözleşmesine erişildiğini söylüyor; yapay zekâ alt örnekleminin büyüklüğü açıklanmıyor) yapay zekâ sözleşmelerini SaaS ortalamasıyla karşılaştırıyor:

Kaynak: Stanford Law CodeX / TermScout, 2025. Kaynakta SaaS karşılığı verilmeyen satır "—" ile gösterildi.

Kısacası tedarikçi sorumluluğunu sınırlıyor ve veride geniş hak istiyor, ama mevzuata ve kendi dokümantasyonuna uyacağını nadiren yazıyor.

İkinci fark modelin kendisiyle ilgili. Microsoft'un Copilot gizlilik belgesi, Eylül 2026 itibarıyla Copilot modellerinin düzenli güncellendiğini ve üretken yapay zekâ yanıtlarının %100 doğru olduğunun garanti edilmediğini yazıyor. Bir dil modelinde sürüm değişince aynı istem farklı sonuç üretebilir. Sözleşme bu değişkenliği yönetmiyorsa kabul testiniz ilk güncellemede anlamını yitirir.

Alıcılar bu soruyu yapay zekâ asistanlarına da soruyor. Sheltron'un Microsoft Clarity AI atıf panosunda (365 günlük pencere, 9 Ağustos 2026 itibarıyla) "yapay zeka çözümü satın alırken dikkat edilmesi gerekenler" sorgusunda sitemizin sayfaları 21 atıf aldı; bu sorgudaki Share of Authority oranımız %47,73. Pano hangi sayfanın hangi sorguda atıf aldığını eşlemiyor; ancak bu rehberden önce sitemizde bu niyete en yakın içerikler firma seçimini anlatıyordu, sözleşme maddelerini ele alan bir sayfa bulunmuyordu.

Sözleşmede iki katman var: çözüm firması ve altındaki model sağlayıcısı

Türkiye'de bir yapay zekâ çözüm firmasıyla imzalanan sözleşme, çoğu zaman OpenAI, Microsoft ya da Google gibi bir temel model sağlayıcısının standart şartları üzerine kurulur. Sizi koruyan şey, çözüm firmasının alt katmandaki taahhütleri (eğitim yasağı, silme süresi, veri konumu) sizinle yaptığı sözleşmeye aynen yansıtıp yansıtmadığıdır.

Alt katmandaki şartlar KOBİ ölçeğinde pratikte müzakere edilemez; çözüm firmasının sözleşmesi ise edilebilir. Bu yüzden müzakerenin ilk sorusu şudur: "Hizmet hangi model sağlayıcılarıyla, hangi bölgede ve hangi alt işleyenlerle çalışıyor?" NIST'in üretken yapay zekâ profili (AI 600-1) de kurum içeriğine erişen tüm üçüncü tarafların envanterini öneriyor (GV-6.1-007). Katmanlar derinleşebilir: Microsoft, Copilot'ta alt işleyen olarak kullandığı Anthropic modellerinin Eylül 2026 itibarıyla AB Veri Sınırı dışında olduğunu belirtiyor.

Aşağıdaki tablo üç büyük sağlayıcının kamuya açık standart şartlarını Eylül 2026 itibarıyla karşılaştırıyor. "Bu sayfada belirtilmemiş", açılan belgede hüküm bulunmadığını gösterir; taahhüt olmadığı anlamına gelmez.

Bu tablo bir taban çizgisidir: büyük sağlayıcılar bu korumaları standart şartlarında veriyorsa, aradaki çözüm firmasının daha azını sunması için teknik bir gerekçe yoktur. Şartlar sabit de değildir; OpenAI, müşteri haklarını esaslı biçimde etkileyen değişiklikleri en az 30 gün önceden bildirerek güncelleme hakkını saklı tutuyor. Bu yüzden sözleşme ekinde hangi tarihli sağlayıcı şartlarına dayanıldığı yazılmalıdır. Platform düzeyindeki farkları Microsoft Copilot Business ve ChatGPT Enterprise karşılaştırması işliyor.

Verinin hiç dışarı çıkmaması gerekiyorsa modeli kurum içinde (on-premise) çalıştırmak iki katmanlı yapıyı ortadan kaldırır; Sheltron'un kurumsal AI otomasyonu hizmeti bu kurulum seçeneğini de kapsıyor. Bu durumda bile değişiklik bildirimi, kabul kriteri ve çıkış maddeleri geçerliliğini korur.

Veri maddeleri: sahiplik, eğitim yasağı ve saklama süresi nasıl yazılmalı?

Veri maddesinin üç parçası olmalıdır: girdinin ve çıktının size ait olduğu, verinizin hiçbir modelin eğitiminde kullanılmayacağı ve verinin nerede, ne kadar süre saklanacağı. Büyük sağlayıcılar bunları Eylül 2026 itibarıyla standart şartlarında zaten veriyor; çözüm firmanızdan daha azını kabul etmeniz için bir gerekçe yok.

Madde 1: Veri ve çıktı sahipliği

OpenAI Services Agreement (1 Ocak 2026'da yürürlüğe giren sürüm) müşterinin girdi üzerindeki tüm haklarını koruduğunu ve çıktının müşteriye ait olduğunu yazıyor. Microsoft çıktı üzerinde sahiplik iddia etmiyor. Avrupa Komisyonu'nun kamu alımları için hazırladığı model sözleşme maddeleri (MCC-AI) ise daha ileri gidiyor: kurumun veri setleri üzerindeki tüm haklar kurumda kalıyor ve tedarikçi bu verileri sözleşmenin ifası dışında hiçbir amaçla kullanamıyor. Sözleşmede iki cümle birlikte yer almalıdır: veri sizindir ve yalnız hizmetin sunulması için kullanılır.

Madde 2: Eğitimde kullanım yasağı

TermScout örneklemindeki %92'lik oran, bu maddenin neden ayrıca yazılması gerektiğini gösteriyor. OpenAI'ın veri kontrolleri belgesi, API'ye gönderilen verinin 1 Mart 2023'ten beri, müşteri açıkça kabul etmedikçe modellerin eğitiminde kullanılmadığını belirtiyor. Microsoft ve Google da istem ve yanıtları model eğitiminde kullanmadıklarını yazıyor. Ancak bu taahhütler sağlayıcıyla sizin aranızda değil, sağlayıcıyla çözüm firması arasında geçerlidir. Çözüm firmasının kendi ince ayar ya da değerlendirme süreçlerinde verinizi kullanıp kullanmayacağı ayrıca yazılmadıkça belirsiz kalır.

Bu madde yalnız ticari bir koruma değildir: tedarikçi verinizi kendi modelini geliştirmek için kullanırsa, o işleme bakımından yalnız sizin talimatınızla hareket eden bir veri işleyen sayılmayabilir. Eğitim yasağı, KVKK'daki rollerin netliğini de korur.

Örnek ifade (hukukçunuzla uyarlayın): "Tedarikçi ve alt işleyenleri, Müşteri Verisini ve Çıktıları, Müşterinin önceden yazılı onayı olmaksızın herhangi bir modelin eğitimi, ince ayarı veya iyileştirilmesi için kullanamaz."

Madde 3: Saklama süresi ve veri konumu

OpenAI'ın API belgelerine göre kötüye kullanım izleme kayıtları varsayılan olarak 30 güne kadar saklanıyor; sıfır saklama (Zero Data Retention) seçeneği ise OpenAI'ın ön onayına bağlı. Microsoft, Copilot'u 1 Mart 2024'te veri yerleşimi taahhütlerinin kapsamına aldı; AB dışındaki müşterilerin sorgularının ise ABD, AB veya diğer bölgelerde işlenebileceğini yazıyor. Türkiye'deki bir işletme için bu, işleme ülkelerinin sözleşmede ayrıca yazılması demektir. Hangi verinin hiç dışarı çıkmayacağı ise sözleşmeden önce kararlaştırılmalıdır; işletmeler için AI uyum master rehberi bu "veri sınırı" kararını ele alıyor.

KVKK açısından sözleşmeye hangi hükümler girmelidir?

Hazır bir yapay zekâ modelini kendi sürecine entegre eden işletme, KVKK'ya göre genellikle veri sorumlusu; tedarikçi ise veri işleyendir. Sözleşme bu rolü, tedarikçiye bırakılan kararları ve yurt dışı aktarımın dayanağını yazmalıdır; çünkü veri güvenliği tedbirlerinden tedarikçiyle birlikte müştereken sorumlu olursunuz.

Madde 4: Rol tanımı ve veri işleme şartları

KVKK'nın Kasım 2025 tarihli Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi, hazır bir modeli kendi sürecine entegre eden şirketin veri sorumlusu olarak değerlendirilebileceğini ve kapalı modellerde işletmenin model üzerinde anlamlı bir kontrolü olmayabileceğini not ediyor. Rolü sözleşmenin başlığı değil fiili kontrol belirler: Kurumun Haziran 2025 tarihli veri sorumlusu ve veri işleyen rehberine göre sağlayıcı, sözleşme gereği verileri kendi amaçları için kullanamıyorsa veri işleyendir.

Maddeye girmesi gerekenler:

• Tarafların veri sorumlusu ve veri işleyen olarak rolleri; işlemenin amacı, kapsamı ve süresi sizde kalır.
• Tedarikçiye bırakılan teknik kararlar: kullanılacak bilişim sistemi, saklama yöntemi, güvenlik önlemlerinin ayrıntısı, aktarım yöntemi ve silme, yok etme ya da anonim hâle getirme yöntemi.
• Tedarikçinin güvenlik tedbirleri ve ihlal bildirimi; Kanun'un 12. maddesinin 2. fıkrası uyarınca bu tedbirlerden tedarikçiyle müştereken sorumlu olursunuz.

Sheltron'un kendi veri işleme yaklaşımını KVKK sayfasında açıkladığı gibi, tedarikçinizden de bu taahhütleri yazılı ve erişilebilir biçimde isteyin.

Madde 5: Yurt dışı aktarım ve alt işleyen listesi

Sağlayıcı yurt dışındaysa aktarım 6698 sayılı Kanun'un 9. maddesine ve Yönetmelik'e tabidir; yeterlilik kararı yoksa uygun güvencelerden biri kullanılır. KVKK'nın standart sözleşmeler sayfasında dört tip yer alıyor; yapay zekâ tedariki için en sık gerekenler veri sorumlusundan veri işleyene (SS-2) ve veri işleyenden veri işleyene (SS-3) aktarım tipleridir. İkincisi iki katmanlı yapının KVKK'daki karşılığıdır: çözüm firması veriyi model sağlayıcısına aktarıyorsa bu halka da güvence altında olmalıdır.

Yurt dışındaki bir yapay zekâ sağlayıcısıyla imzalanan KVKK standart sözleşmesi, imzaların tamamlanmasından itibaren beş iş günü içinde Kurum'a bildirilmelidir; KVKK'nın yurt dışı aktarım rehberine göre bildirmeyenlere idari para cezası uygulanabilir. Sözleşmede bu bildirimi hangi tarafın yapacağı ve alt işleyen listesinin güncellenmesinde size ne kadar önceden haber verileceği yazılmalıdır.

AB pazarına hizmet verenler için ek bir katman var: AB Yapay Zekâ Tüzüğü'nün 25(4). maddesi, yüksek riskli sistemlerde sağlayıcı ile üçüncü taraf tedarikçi arasındaki bilgi, teknik erişim ve destek yükümlülüklerinin yazılı anlaşmayla belirlenmesini öngörüyor. Bu yükümlülük henüz uygulanmıyor: Avrupa Komisyonu'na göre Eylül 2026 itibarıyla yüksek riskli sistem kuralları, hassas alanlardaki (Ek III) sistemler için 2 Aralık 2027'de, düzenlenmiş ürünlere gömülü (Ek I) sistemler için 2 Ağustos 2028'de uygulanacak. Sözleşmeyi bugün yazarken bu maddeye yer açmak, sonradan yeniden müzakereyi önler.

Model ya da sağlayıcı değişirse size ne zaman haber verilmelidir?

Sözleşme, altta çalışan modelin ya da model sağlayıcısının değişmesini yazılı bildirime ve yeniden kabul testine bağlamalıdır. OpenAI, kendi API müşterilerine genel kullanımdaki modeller için en az 6 ay, özel varyantlar için en az 3 ay bildirim taahhüt ediyor; önizleme modellerinde bu süre 2 haftaya kadar inebiliyor.

Madde 6: Model ve sağlayıcı değişikliği bildirimi

Bu madde, yapay zekâ sözleşmesini klasik yazılım sözleşmesinden ayıran en belirgin hükümdür. OpenAI'ın model emeklilik sayfası Eylül 2026 itibarıyla önizleme modellerinin iş açısından kritik üretim yüklerinde kullanılmasını önermiyor ve güvenlik ya da uyum gerekçesiyle daha hızlı emekliliği saklı tutuyor. Google'ın Vertex AI SLA'sı, belgelerde önerilen model ömrünü aşan kullanımı SLA kapsamı dışında bırakıyor; Gemini çevrimiçi çıkarım SLA'sında da kısa süreli erişilebilirlik için işaretlenen modellerde taahhüt %99,5'ten %95'e iniyor. Microsoft ise güncellemelerin güvenlik, gizlilik ve uyum ayarlarını değiştirmediğini belirtiyor; çıktı davranışına ilişkin bir güvence ise belgede yer almıyor.

Üç sağlayıcının ortak mesajı şudur: model değişecek; soru, ne zaman ve size nasıl haber verileceğidir. Çözüm firması kendi sağlayıcısından aylar önce bildirim alıyorsa, bu süreyi size yansıtmaması için bir neden yoktur. NIST AI 600-1 (GV-6.2-007) de ince ayar, sapma (drift) ve bozulma gibi zaman içindeki değişikliklerin tedarikçi sözleşmesinde ele alınmasını öneriyor. AB'nin model maddeleri de her "önemli değişiklik"te teknik dokümantasyonun güncellenmesini şart koşuyor.

Maddeye girmesi gerekenler:

• Temel modelin, model sürümünün veya model sağlayıcısının değişmesi hâlinde yazılı ve önceden bildirim.
• Önizleme (preview) sürümlerinin üretim ortamında kullanılmaması.
• Değişiklik sonrası kabul testinin tekrarlanması ve test başarısız olursa önceki sürüme dönüş ya da fesih hakkı.

Örnek ifade (hukukçunuzla uyarlayın): "Tedarikçi, hizmette kullanılan temel modelin veya model sağlayıcısının değiştirilmesini en az [X] gün önceden yazılı olarak bildirir; bildirimde yeni modelin adı, sürümü, barındırıldığı ülke ve kabul testi sonuçları yer alır."

SLA çalışma süresini ölçer, doğruluğu değil: iki ayrı madde nasıl yazılır?

Bir yapay zekâ SLA'sı iki ayrı taahhüt içermelidir: hizmetin erişilebilir kalması ve çıktının kabul edilebilir kalitede olması. Eylül 2026 itibarıyla Google'ın Vertex AI SLA'sı eğitim, dağıtım ve toplu tahmin için %99,9; Gemini çevrimiçi çıkarım API'si için %99,5 erişilebilirlik öngörüyor. İncelenen standart şartların hiçbirinde ise doğruluk taahhüdü yer almıyor.

Madde 7: Erişilebilirlik ve destek SLA'sı

Vertex AI SLA'sı (son değişiklik 12 Şubat 2026) eğitim, dağıtım ve toplu tahmin hizmetleri için aylık en az %99,9 erişilebilirlik taahhüt ediyor. Hedef karşılanmazsa kredi kademeli işliyor: erişilebilirlik %99 ile %99,9 arasındaysa aylık faturanın %10'u, %95 ile %99 arasındaysa %25'i, %95'in altındaysa %50'si. Aynı SLA'da özel model çevrimiçi tahmini için oran %99,5'tir. Bir çözüm firmasının Gemini modelini çağırırken fiilen kullandığı hizmetin ise ayrı bir sözleşmesi var: Gemini çevrimiçi çıkarım API'si SLA'sı (son değişiklik 30 Haziran 2026) aylık %99,5 erişilebilirlik öngörüyor, kısa süreli erişilebilirlik için işaretlenen modellerde ise %95. Buradaki kredi kademeleri %99 ile %99,5 arası için %10, %95 ile %99 arası için %25, %95 altı için %50. Hangi SLA'nın geçerli olduğu, çözüm firmasının hangi hizmeti kullandığına bağlıdır. OpenAI'ın Services Agreement metninde ise ayrı bir çalışma süresi SLA maddesi bulunmuyor.

Çözüm firmasının çalışma süresi taahhüdü pratikte dayandığı altyapıyla sınırlıdır; ama destek yanıt süresi, olay bildirimi ve yedek plan gibi kendi kontrolündeki alanlarda taahhüt verebilir. NIST AI 600-1, tedarikçi sözleşmelerindeki SLA'ların olay müdahalesini, yanıt sürelerini ve kritik desteğe erişimi kapsamasını öneriyor (GV-6.2-007). Aynı belge, yedek planın gerektiğinde manuel işlemeyi de içerebileceğini hatırlatıyor (GV-6.2-006). Kredi oranlarını proje maliyetiyle birlikte okumak için AI ve GEO yatırım maliyeti ve ROI rehberine bakabilirsiniz.

Madde 8: Doğruluk ve kabul kriterleri

Bir yapay zekâ SLA'sı erişilebilirliği ölçer, doğruluğu değil. Microsoft'un yanıtların %100 doğru olduğunu garanti etmemesi, doğruluğun ayrı bir mekanizmayla ele alınması gerektiğini gösteriyor. AB'nin model maddeleri doğruluk düzeyinin ekte tanımlanması için bir kalıp sunuyor: gerekli doğruluk düzeyleri ve ölçüm metrikleri sözleşmenin ekinde (Ek G) yazılı olarak tanımlanıyor. Kabul koşulları ise maddelerin kapsamı dışında; ayrıca yazılmaları gerekiyor.

Uygulamada kabul, gerçek iş örneklerinden oluşan ve sizin belirlediğiniz bir değerlendirme setine bağlanır; metrik ve eşik ekte yazılır, model değişince test tekrarlanır. Halüsinasyon riskinin kurumsal tarafı için AI halüsinasyon krizinden korunma rehberi tamamlayıcı bir okuma olabilir.

Örnek ifade (hukukçunuzla uyarlayın): "Kabul, Ek [X]'te (doğruluk ve kabul kriterleri) tanımlı değerlendirme seti üzerinde [metrik] için [eşik] değerinin sağlanmasına bağlıdır; model değişikliğinden sonra aynı test tekrarlanır."

Fikri mülkiyet, tazminat ve sorumluluk tavanı nasıl dengelenir?

Fikri mülkiyet maddesi, çıktının kime ait olduğunu ve üçüncü kişi telif iddiasında masrafı kimin üstleneceğini yazmalıdır. TermScout örnekleminde yapay zekâ tedarikçilerinin yalnız %33'ü bu tür iddialara karşı tazminat veriyor; %88'i kendi sorumluluğunu tavanla sınırlarken müşteri sorumluluğunu da sınırlayanların oranı %38'de kalıyor.

Madde 9: Fikri mülkiyet, tazminat ve sorumluluk tavanı

Bu maddede de büyük sağlayıcıların çizgisi iyi bir referans. OpenAI, Services Agreement'ın 13.1. maddesinde üçüncü kişilerin fikri mülkiyet ihlali iddialarına karşı müşterisini tazmin etmeyi üstleniyor. Sorumluluk tavanını ise olaydan önceki 12 ayda ödenen toplam tutar olarak belirliyor; ağır ihmal ve kast, tazminat yükümlülükleri ve ödeme yükümlülükleri bu tavanın dışında tutuluyor. Microsoft'un Copilot Copyright Commitment taahhüdü, müşteri ürünün koruma ve filtrelerini kullandığı sürece telif davalarında savunma ve tazmin sağlıyor. Microsoft, çıktının telif korumasına konu olup olmayacağına ise karar vermiyor.

AB'nin model maddeleri burada kısmen yardımcı oluyor: güncel MCC-AI-Light (Şubat 2025 sürümü), yapay zekâ sisteminin ve veri setlerinin kullanımından doğan üçüncü kişi fikri mülkiyet ve veri koruma iddialarına karşı karşılıklı bir tazminat maddesi içeriyor: tedarikçi, sistemin ve kendi veri setlerinin kullanımından doğan iddialarda kurumu; kurum da kendi veri setlerinden doğan iddialarda tedarikçiyi tazmin ediyor. Ancak Komisyon, ilk sürümün sayfasında bu maddelerin tam bir sözleşme olmadığını; fikri mülkiyet, sorumluluk ve ödeme gibi konuların ayrıca düzenlenmesi gerektiğini yazıyor. Çıktı sahipliği, sorumluluk tavanı ve ödeme bu yüzden çözüm firmasıyla doğrudan müzakere edilir.

Müzakerede üç soruya yazılı cevap aranmalıdır:

1. Çıktılar ve projede üretilen istem şablonları, yapılandırmalar ve değerlendirme setleri kime aittir?
2. Üçüncü kişi bir fikri mülkiyet iddiasıyla gelirse savunmayı ve masrafı kim üstlenir, bunun koşulları nelerdir?
3. Sorumluluk tavanı iki taraf için simetrik midir; veri ihlali ve gizlilik gibi hâller tavanın içinde mi, dışında mı?

Güvenlik ve çıkış: sözleşme biterken veriniz, loglarınız ve ayarlarınız ne olacak?

Onuncu madde iki şeyi bağlar: hizmet sürerken güvenliğin nasıl denetleneceğini ve sözleşme biterken verinin, istem şablonlarının, değerlendirme setlerinin ve logların hangi formatta, ne kadar sürede teslim edilip silineceğini. OpenAI fesihte müşteri içeriğini 30 gün içinde siliyor; AB'nin model maddeleri imhanın kanıtlanmasını istiyor.

Madde 10: Güvenlik, denetim ve çıkış

Güvenlik ve denetim: Güvenlik maddesi "verileriniz şifrelenir" cümlesinden ibaret olmamalıdır. OpenAI'ın sözleşmesinde iki somut mekanizma var: güvenlik önlemleri esaslı biçimde zayıflatılırsa müşteri, güncellemeden itibaren 5 iş günü içinde fesih bildirebiliyor; bağımsız denetim raporları da yazılı taleple, yılda en fazla bir kez paylaşılıyor. KVKK'nın üretken yapay zekâ rehberi istem enjeksiyonu, jailbreak, model ters çevirme ve üyelik çıkarımı saldırılarına karşı teknik kontrolleri ve kırmızı takım testlerini sayıyor. NIST AI 600-1 ise üçüncü tarafın süreçlerini değerlendirme hakkını (GV-6.1-006) ve ciddi olayların bildirilmesini (GV-6.2-007) öneriyor.

Tedarikçiden dört unsuru yazılı isteyin: denetim raporuna erişim, ciddi olay bildirim süresi, yapay zekâya özgü saldırılara karşı test yaklaşımı ve güvenlik seviyesi düşerse fesih hakkı. Kamuya açık bir taahhüt sayfasına örnek olarak Sheltron'un güvenlik sayfasına bakabilirsiniz.

Çıkış ve veri iadesi: MCC-AI'ın yüksek risk dışı sistemler için hazırlanan "light" sürümü üç net kalıp sunuyor: veri setleri kurumun belirlediği ortak bir dosya formatında teslim edilir, sistem logları sözleşme sonunda gecikmeksizin teslim edilir ve veriler ilk talepte imha edilip imhanın makul bir kanıtı sunulur.

Teslim edilecek olan yalnız ham veri değildir; istem şablonları, yapılandırmalar, değerlendirme setleri ve loglar, yeni bir tedarikçiye geçişte projeyi sıfırdan kurmamanızı sağlar. Silme talimatı vermeden önce teslim alınan paketi eksiksizlik için doğrulayın. Birikmiş ölçüm geçmişinin ajans değişiminde nasıl korunacağını GEO ajansı seçme rehberi benzer bir mantıkla anlatıyor. Sözleşme bir AI görünürlük hizmetini de kapsıyorsa, teslim alınan ölçüm verisini ekibin kendisinin okuyabilmesi geçişi kolaylaştırır; bunun temelleri için GEO Akademi içeriklerinden yararlanılabilir.

Örnek ifade (hukukçunuzla uyarlayın): "Sözleşmenin sona ermesinden itibaren [X] gün içinde Müşteri Verisi, istem şablonları, yapılandırmalar, değerlendirme setleri ve loglar [CSV/JSON] formatında teslim edilir; ardından silinir ve silme yazılı olarak teyit edilir."

İmzadan önce 10 maddelik kontrol tablosu

İmzadan önce on maddenin her biri için üç şeyi kontrol edin: metinde ne yazdığı, eksikse hangi riskin doğduğu ve hangi birincil belgeye dayandığı. En kolay atlananlar, standart yazılım şablonlarında karşılığı olmayan eğitim yasağı, model değişikliği bildirimi ve doğruluk kabulü maddeleridir.

Aşağıdaki tablo hukuki görüş değildir; her satırın son metni projenin kapsamına göre uyarlanmalıdır.

Tabloyu teklif aşamasında tedarikçilere göndermek cevapları karşılaştırılabilir kılar; bunun satınalma sürecine nasıl yerleşeceğini satınalma AI otomasyonu ve tedarikçi seçimi yazısı anlatıyor. Dışarıdan alma kararı henüz verilmediyse önce iç ekip mi ajans mı sorusunu netleştirin. Hizmet tiplerine genel bakış için Sheltron'un yapay zekâ çözümleri sayfasına bakabilirsiniz.

Müzakere, projenin hangi veriye dokunacağı ve hangi süreçlerin tedarikçiye açılacağı baştan belli olduğunda kısalır. Sheltron'un hızlı değerlendirme formuyla hangi süreçlerinizin yapay zekâ otomasyonuna uygun olduğunu netleştirin; sözleşmenin hangi veriye dokunacağı da buradan belli olur.

Ajans desteği mi arıyorsunuz? Partner GEO ajansımız Lein Digital.